스테가노그래피 PNG + 역방향 터널링: 새로운 은밀한 공격 변형 문서화

캠페인이 스테가노그래피를 통해 PNG 파일에 악성 코드를 숨긴 후, 지속적인 접근을 유지하기 위해 맞춤형 역방향 터널을 배포합니다. 역방향 터널 기술은 전달 벡터 측면에서 계속해서 다양화되고 있습니다.

무엇

The Register에 의해 문서화된 새로운 공격 캠페인은 두 가지 기술을 결합하여 은밀성을 극대화합니다: PNG 파일에 악성코드를 스테가노그래피(stéganographie)를 통해 은닉한 후, 감염된 시스템에 맞춤형 역방향 터널(reverse tunnel)을 배포합니다. 이는 은밀한 전달 기술의 진화로, 해당 스레드에서 계속 주시하고 있습니다.

영향을 받는 대상

메일, 기업 메시징 또는 다운로드를 통해 PNG 파일을 받을 수 있는 Windows 시스템. 외부로 나가는 트래픽 필터링이 약한 환경이 가장 취약합니다.

공격 체인

1단계 - 함정 PNG 악성 코드가 PNG 파일의 픽셀 최하위 비트(LSB - Least Significant Bits)에 인코딩됩니다. 이미지는 정상적으로 보입니다. 로더(PowerShell 또는 .NET 바이너리)가 이를 추출하고 실행합니다.

2단계 - 은밀한 실행 스테가노그래피는 알려진 파일 확장자 및 서명 분석을 수행하는 안티바이러스 솔루션을 우회합니다. PNG는 실행 파일이 아니므로 기존 탐지 규칙이 적용되지 않습니다.

3단계 - 맞춤형 역방향 터널 악성코드가 자체 인프라(C2)로 역방향 터널을 배포합니다. ngrok, Frp 같은 일반적인 도구와 달리, 이 터널은 애플리케이션 방화벽에서 차단하기 어려운 독자적인 프로토콜을 사용합니다.

현황에 추가된 점

2026년 8월, TerminalFix: 가짜 Cloudflare CAPTCHA → 역방향 터널 백도어를 문서화했습니다. 새로운 변종은 동일한 목표(감지하기 어려운 지속적인 역방향 터널)를 달성하기 위해 완전히 다른 전달 벡터(이미지 PNG vs 웹 인터페이스)를 사용합니다.

역방향 터널은 지속성 확보 기술로 확산되고 있습니다. 전달 벡터는 PNG, CAPTCHA로 확대 및 다양화되며, 앞으로 더 등장할 가능성이 있습니다.

지금 해야 할 일

• 프록시에서 TLS 외부로 나가는 트래픽 검사 활성화하여 비정상적인 터널 탐지
• 예상치 못한 네트워크 연결을 시작한 프로세스 모니터링
• 메일을 통한 의심스러운 PNG 스캔을 스테가노그래피 탐지 도구(zsteg, stegdetect)로 수행
• 민감한 시스템의 외부로 나가는 화이트리스트 설정 - 알려진 목적지만 허용